CVE-2026-12537
CVE-2026-12537 · Unauthenticated Remote Code Execution in Gemini CLI CI/CD Workflows
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Improper Neutralization used in an OS Command in the container launcher in Google Gemini CLI (versions prior to 0.39.1) and run-gemini-cli GitHub Action (versions prior to 0.1.22) on headless CI platforms allows an unprivileged attacker to achieve pre-sandbox host-level code execution a maliciously crafted .gemini/.env file.
CVSS 10.0 · Crítica · EPSS 0,2% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
gemini cli
- Versiones
- ≥ 0, < 0.39.1: Afectada (custom)
Actualiza a 0.39.1
run-gemini-cli github action
- Versiones
- ≥ 0, < 0.1.22: Afectada (custom)
Actualiza a 0.1.22
@google/gemini-cli npm
- Intervalos de versiones afectados
- SEMVER: < 0.39.1
Actualiza a 0.39.1
@google/gemini-cli npm
- Versiones
- 0.40.0-preview.2
- Intervalos de versiones afectados
- SEMVER: ≥ 0.40.0-preview.2, < 0.40.0-preview.3
Actualiza a 0.40.0-preview.3
google-github-actions/run-gemini-cli GitHub Actions
- Versiones
- v0.1.21
- v0.1.20
- v0.1.19
- v0.1.18
- v0.1.17
- v0.1.16
- v0.1.15
- v0.1.14
- v0.1.13
- v0.1.12
- v0.1.11
- v0.1.10
- v0.1.9
- v0.1.8
- v0.1.7
- v0.1.6
- v0.1.5
- v0.1.4
- v0.1.3
- v0.1.2
- v0.1.1
- Intervalos de versiones afectados
- ECOSYSTEM: < 0.1.22
- GIT: < f77273f4c914e4bf38440cf36a0369cb64a37489
Actualiza a 0.1.22